Güvenli SDLC, SAST ve DAST Araçları

Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC), gereksinimlerden tasarıma, kodlamaya, testlere, dağıtıma ve bakıma kadar yazılım geliştirmenin her aşamasına güvenlik etkinliklerini entegre eder. Geleneksel SDLC, güvenliği son aşamada uygulanan bir geçiş kapısı olarak ele alır; bu yaklaşım pahalı ve etkisizdir. Güvenli SDLC felsefesi, güvenlik açıklarını mümkün olduğunca erken bulup düzeltmektir; çünkü tasarım sırasında yakalanan kusurları düzeltmenin maliyeti, üretimde bulunanları düzeltmekten çok daha düşüktür.

Sola kaydırma, güvenliği sona eklemek yerine geliştirme zaman çizelgesinde daha erken bir aşamaya taşımak anlamına gelir. Uygulamada bu; kullanıcı hikâyelerine güvenlik gereksinimlerini eklemeyi, tasarım sırasında tehdit modellemesi yapmayı, geliştirme sırasında kod incelemesi ve SAST gerçekleştirmeyi ve sürümden önce DAST çalıştırmayı ifade eder. Güvenliği sola kaydıran ekipler, güvenlik açıklarını düzeltilmelerinin en ucuz olduğu zamanda, yani üretimde değil geliştirme sırasında keşfeder.

Tehdit modellemesi, tasarım aşamasında güvenlik tehditlerini sistematik olarak belirler ve belgeler. STRIDE modeli tehditleri şu kategorilere ayırır: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service ve Elevation of Privilege. PASTA (Saldırı Simülasyonu ve Tehdit Analizi Süreci), saldırganların hedeflerini simüle eden risk odaklı bir metodolojidir. Tehdit modelleri, tek bir kod satırı yazılmadan önce önceliklendirilmiş azaltma önlemleri üretir.

SAST (beyaz kutu testi), uygulamayı çalıştırmadan kaynak kodunu, bayt kodunu veya ikili dosyaları analiz eder ve bilinen güvenlik açıklarıyla ilişkili kodlama kalıplarını arar. SAST araçları tüm kod tabanını hızlıca tarayabilir ve sabit kodlanmış kimlik bilgileri, SQL enjeksiyonu uçları ve güvensiz serileştirme gibi sorunları bildirebilir. Bu araçlar IDE veya CI pipeline içinde çalışır ve bulguları file ve line numaralarıyla bildirerek düzeltmeyi kolaylaştırır.

SAST'ın temel bir sınırlaması, yanlış pozitifler üretme eğilimidir; yani aslında güvenli olan kodu güvenlik açığı varmış gibi işaretler. Bu uyarı yorgunluğu, geliştiricilerin bulguları incelemeden göz ardı etmesine neden olur. SAST araçları ayrıca çalışma zamanı Configuration sorunlarını, çalışma zamanı davranışına bağlı Authentication kusurlarını veya üçüncü taraf API çağrılarındaki güvenlik açıklarını algılayamaz. SAST, bulguların doğru şekilde önceliklendirilmesi için geliştirici eğitimiyle birlikte kullanıldığında en etkilidir.

DAST (kara kutu testi), çalışan bir uygulamayı HTTP uç noktalarına saldırı yükleri göndererek ve yanıtları güvenlik açığı göstergeleri açısından analiz ederek test eder. DAST'ın kaynak koduna erişmesi gerekmez; uygulamayı bir saldırganın yapacağı şekilde test eder. Authentication atlatma, yanıtlara yansıtılan XSS ve yanlış Server Configuration gibi çalışma zamanı sorunlarını bulmada başarılıdır. DAST araçları arasında OWASP ZAP, Burp Suite ve Netsparker bulunur.

SAST ve DAST birbirleriyle rekabet eden değil, birbirini tamamlayan yaklaşımlardır. SAST, kod düzeyindeki sorunları erken bulur ve IDE ile entegre olur; ancak çalışma zamanı davranışı hakkında görünürlüğü yoktur. DAST, çalışma zamanı güvenlik açıklarını bulur ve kaynak kodu gerektirmez; ancak otomatik yoklamalarıyla tetiklenmeyen kod yollarını tarayamaz. Her ikisini birlikte kullanmak — CI pipeline içinde SAST ve hazırlık ortamına karşı DAST — SDLC genelinde güvenlik açığı kapsamını en üst düzeye çıkarır.

IAST, uygulamayı çalışma zamanında araçlandırarak hem SAST'ın hem de DAST'ın özelliklerini birleştirir. Bir IAST aracısı uygulamanın içinde, yani Server üzerinde çalışır ve test trafiği içinden akarken kod yürütmesini gözlemler. Kullanıcı input değerlerinin kod yolları boyunca hassas uçlara kadar izini sürebilir ve saf SAST'a göre daha düşük yanlış pozitif oranlarıyla güvenlik açıklarını bulabilir. IAST, özellikle Java ve .NET uygulamalarında etkilidir ve işlevsel test çalıştırmalarına doğal olarak entegre olur.

Yazılım Bileşimi Analizi (SCA), bir uygulamadaki açık kaynak kitaplıklarını ve üçüncü taraf bağımlılıklarını belirler ve bunları güvenlik açığı veritabanlarına (NVD, OSV) karşı denetler. Modern uygulamalar, çoğu geçişli olmak üzere yüzlerce bağımlılık çekebildiğinden, OWASP Dependency-Check, Snyk ve Renovate gibi SCA araçları, saldırganlar tedarik zincirinizdeki bilinen CVEs açıklarından yararlanmadan önce bunları yakalamak için gereklidir.

Security araçlarının CI/CD pipeline'larına entegre edilmesi, hiçbir kodun Security geçitlerinden geçmeden üretime ulaşmamasını sağlar. Tipik bir DevSecOps pipeline'ı şunları çalıştırır: her commit'te SAST, bağımlılık değişikliklerinde SCA, kayıt deposuna göndermeden önce Container imajı taraması, Terraform/CloudFormation için IaC taraması ve hazırlık dağıtımına karşı DAST. Başarısız Security kontrolleri derlemeyi engeller ve varsayılan olarak güvenli bir kültürü zorunlu kılar.

Otomatik araçlar, Security mantığına odaklanan insan kod incelemesinin yerini tutamaz. Eş incelemesi şunları doğrulamalıdır: Authentication ve yetkilendirme kontrolleri doğru yerlerdedir, error işleme hassas Information sızdırmaz, kriptografik işlevler onaylanmış algoritmaları ve parametreleri kullanır ve iş mantığı atlatılamaz. Geliştirme ekiplerindeki Security öncüleri — Security eğitimi almış geliştiriciler — Security ekibi ile mühendislik arasındaki boşluğu kapatır.

Bu derste şunları öğrendiniz: güvenli SDLC, güvenliği sona eklemek yerine tüm geliştirme aşamalarına entegre eder, SAST kodu çalıştırmadan analiz ederken DAST çalışan uygulamaları test eder ve SCA, güvenlik açığı içeren açık kaynak bağımlılıklarını belirler; CI/CD Security geçitleri de bulguları otomatik olarak zorunlu kılar. Sırada LDAP ve Active Directory ile Directory hizmetlerini inceleyeceğiz.